Rangkaian zero-day iPhone sepanjang 2026 menunjukkan bahwa iPhone tetap menjadi sasaran serangan yang sangat terarah terhadap individu tertentu. Per 29 Oktober 2026, Apple telah memperbaiki celah Core Graphics CVE-2026-86950 yang mungkin telah dieksploitasi, sementara laporan Google tentang exploit kit Coruna memperlihatkan bagaimana exploit mahal bisa berpindah tangan ke pelaku lain.
Ringkasan: Zero-Day iPhone yang Perlu Anda Tahu
- CVE-2026-86950 - out-of-bounds write di Core Graphics. Diperbaiki di iOS dan iPadOS 26.7.1 serta 18.7.11, macOS Tahoe 26.7.1, dan macOS Sequoia 15.8.1. Dilaporkan oleh Meta Product Security. Apple menyebut celah ini mungkin telah dieksploitasi dalam serangan yang "sangat canggih" terhadap individu tertentu pada iOS sebelum iOS 27. Masuk CISA KEV pada 29 September 2026 dengan tenggat 13 Oktober 2026. Skor CVSS 3.1 sebesar 8,8 (High) yang tercatat di NVD berasal dari CISA-ADP, bukan penilaian primer NVD.
- CVE-2026-20700 - kerusakan memori di dyld. Diperbaiki di iOS dan iPadOS 26.3 pada 11 Februari 2026, ditemukan oleh Google Threat Intelligence Group (GTIG). Menurut Apple, celah ini mungkin dieksploitasi terhadap individu tertentu pada iOS sebelum iOS 26. Masuk KEV pada 12 Februari 2026. Skor CVSS 3.1: 7,8 (High) dari CISA-ADP.
- Coruna - exploit kit berisi lima rantai serangan dan 23 exploit untuk iPhone dengan iOS 13.0 sampai 17.2.1, dipublikasikan GTIG pada Maret 2026.
- CVE-2025-55177 - otorisasi tidak lengkap pada pesan sinkronisasi perangkat tertaut di WhatsApp, dirangkai dengan celah Image I/O Apple (CVE-2025-43300). Masuk KEV pada 2 September 2025.
Apa yang Terjadi pada Celah Core Graphics
Pada 28 September 2026 Apple merilis iOS dan iPadOS 26.7.1 serta macOS 26.7.1 dan 15.8.1. Salah satu perbaikannya menutup CVE-2026-86950, yaitu penulisan di luar batas memori (out-of-bounds write) pada komponen Core Graphics. Jenis bug ini terjadi ketika perangkat lunak menulis data melewati batas buffer; pada kondisi tertentu hasilnya adalah eksekusi kode saat sebuah berkas yang dirancang khusus diproses.
Apple tidak membuka rincian target, pelaku, maupun jenis berkas yang dipakai. Menurut SecurityWeek, Meta hanya menyebut bahwa mereka rutin melaporkan celah pada perangkat lunak pihak ketiga ke vendor, tanpa menjelaskan apakah WhatsApp terlibat. Belum ada atribusi publik ke pelaku atau vendor spyware tertentu. Catatan CVE dari Apple di NVD juga mencantumkan perbaikan untuk iOS dan iPadOS 18.7.11, yang masuk daftar rilis keamanan Apple pada 26 Oktober 2026.
Coruna: Exploit Kit yang Berpindah Tangan
Pada Maret 2026 GTIG menerbitkan analisis Coruna. Kit ini memuat lima rantai eksploitasi lengkap dan 23 exploit untuk WebKit serta kernel, ditujukan pada iPhone dengan iOS 13.0 (2019) hingga 17.2.1 (Desember 2023). Google menggambarkan tiga fase penggunaan yang berbeda:
- pelanggan sebuah vendor surveillance komersial, pertama kali tertangkap pada Februari 2025, untuk operasi yang sangat terarah;
- UNC6353, kelompok yang diduga sebagai aktor spionase Rusia, memakainya dalam serangan watering hole terhadap pengguna di Ukraina pada musim panas 2025;
- UNC6691, aktor bermotif finansial yang beroperasi dari Tiongkok, memakainya pada akhir 2025 lewat banyak situs palsu yang sebagian besar bertema keuangan, termasuk bursa kripto palsu.
Pada fase kriminal, payload akhirnya mencuri informasi keuangan, termasuk data dompet kripto. Menurut GTIG, penyebaran kit ini mengisyaratkan adanya pasar aktif untuk exploit zero-day "bekas". Perusahaan keamanan seluler iVerify, yang menerbitkan riset tentang kit yang sama, menyatakan kepada CyberScoop bahwa serangan ini memengaruhi setidaknya 42.000 perangkat; angka ini klaim iVerify, bukan hitungan resmi Apple atau Google. Pada 11 Maret 2026 Apple merilis iOS 15.8.7 dan 16.7.15, yang membawa perbaikan terkait Coruna ke perangkat yang tidak bisa diperbarui ke iOS terbaru.
Pelajaran utamanya: exploit yang awalnya dirancang untuk target bernilai tinggi dapat "turun kelas" dan akhirnya dipakai untuk penipuan massal. Menurut GTIG, kit ini tidak efektif pada versi iOS terbaru dan berhenti bila perangkat berada dalam Lockdown Mode atau pengguna memakai mode penjelajahan pribadi.
Celah WhatsApp dan Hubungannya dengan iPhone
Pada akhir Agustus 2025, WhatsApp menambal CVE-2025-55177, yang dirangkai dengan CVE-2025-43300 di Image I/O milik Apple untuk serangan zero-click. Versi yang sudah diperbaiki adalah WhatsApp untuk iOS 2.25.21.73, serta WhatsApp Business untuk iOS dan WhatsApp untuk Mac 2.25.21.78. Menurut Malwarebytes, rantai ini dipakai terhadap "puluhan" pengguna WhatsApp, yang kemudian diberi pemberitahuan. Skor CVSS 3.1 dari CNA Meta adalah 5,4, tetapi karena dipakai sebagai bagian rantai, bobot risikonya jauh lebih besar daripada angka itu. Konsep serangan semacam ini dibahas di artikel kami tentang zero-click attack.
Siapa yang Menjadi Target dan Cara Memeriksa Paparan
Apple menggambarkan eksploitasi CVE-2026-86950 dan CVE-2026-20700 sebagai serangan terhadap individu tertentu. Dalam serangan terarah semacam ini, profil yang umumnya berisiko lebih tinggi adalah jurnalis, aktivis, pejabat, eksekutif, dan pengguna dengan akses ke data bernilai tinggi. Namun kasus Coruna memperlihatkan bahwa pengguna biasa dengan iPhone lama juga bisa terkena. Langkah pemeriksaan untuk individu dan organisasi:
- Buka Pengaturan, Umum, Pembaruan Perangkat Lunak, lalu pasang versi terbaru yang tersedia. Per 26 Oktober 2026, daftar rilis keamanan Apple memuat iOS 27.2, iOS 26.7.2, dan iOS 18.7.11.
- Periksa model iPhone yang masih berjalan di iOS 13 sampai 17 dan rencanakan penggantiannya jika tidak lagi mendapat pembaruan.
- Jika Anda menerima pemberitahuan ancaman dari Apple atau WhatsApp, anggap itu sebagai insiden: ikuti petunjuknya dan hubungi tim keamanan Anda.
- Untuk perangkat kantor, wajibkan pembaruan lewat MDM dengan tenggat, dan catat versi OS tiap perangkat dalam inventaris.
Mitigasi Zero-Day iPhone: Pembaruan, Lockdown Mode, dan Kebiasaan Harian
Prioritas pertama selalu menambal. Jika belum bisa, Google menyarankan Lockdown Mode sebagai pengaman sementara bagi pengguna berisiko tinggi, dengan konsekuensi beberapa fitur dibatasi. Tambahkan kebiasaan dasar: jangan membuka tautan, gambar, atau PDF dari pengirim tak dikenal, batasi pemasangan profil konfigurasi, dan aktifkan pembaruan otomatis. Tidak ada tindakan di sisi pengguna yang bisa menjamin aman dari serangan zero-click, sehingga pembaruan cepat adalah pertahanan utama. Untuk gambaran celah yang belum ditambal, baca penjelasan kerentanan zero-day, dan lihat gejala kompromi di ciri-ciri WhatsApp diretas.
Linimasa Singkat
- Februari 2025: GTIG menangkap rantai exploit pertama yang kelak dikenal sebagai Coruna.
- Akhir Agustus 2025: WhatsApp menambal CVE-2025-55177; KEV pada 2 September 2025.
- 11-12 Februari 2026: Apple memperbaiki CVE-2026-20700 di iOS 26.3; masuk KEV 12 Februari.
- 3-4 Maret 2026: GTIG dan iVerify menerbitkan temuan Coruna; 11 Maret, Apple membackport tambalan ke iOS 15.8.7 dan 16.7.15.
- 28-29 September 2026: perbaikan CVE-2026-86950 dirilis dan masuk KEV.
- 26 Oktober 2026: rilis keamanan terbaru Apple, termasuk iOS 18.7.11.
Baca juga: Zero-Day Adobe Acrobat Reader CVE-2026-34621.
Pertanyaan yang Sering Diajukan
Apakah semua pengguna iPhone perlu panik?
Tidak. Untuk CVE-2026-86950, Apple menyebut serangan terhadap individu tertentu yang menjadi sasaran. Meski begitu, perbaikannya gratis dan mudah, jadi tidak ada alasan menundanya.
Apakah Lockdown Mode wajib diaktifkan?
Bukan untuk semua orang. Mode ini mengurangi fungsi demi keamanan dan paling cocok bagi pengguna berisiko tinggi atau perangkat yang belum bisa diperbarui.
Bagaimana jika iPhone saya sudah tidak mendapat pembaruan?
Naikkan ke versi tertinggi yang masih didukung; Apple sesekali merilis perbaikan untuk perangkat lama, seperti iOS 15.8.7 dan 16.7.15 untuk Coruna. Jika tidak ada pembaruan lagi, rencanakan penggantian dan jangan memakainya untuk perbankan, email kerja, atau penyimpanan dompet kripto.
Apa arti skor CVSS pada daftar ini?
Itu ukuran keparahan teknis, bukan peluang diserang. Cara membacanya dijelaskan di panduan skor CVSS.
Kesimpulan
Zero-day iPhone 2026 mengajarkan tiga hal: tambal cepat, jangan biarkan perangkat lama beredar di organisasi, dan perlakukan pemberitahuan ancaman sebagai insiden nyata. Jika tim Anda perlu menilai kesiapan perangkat bergerak dan proses patch-nya, layanan penilaian keamanan Linuxhackingid dapat membantu merancang dan menguji kontrolnya.
Setiap artikel ditinjau pimpinan praktik yang menangani pekerjaannya sebelum terbit.